Ubuntu 22.04 Jammy PHP2shell fix 19 oktober?

[Sander7428]

Ik heb de Jammy (22.04)    LTS server met php8.1.
Volgens de Ubuntu documentatie op https://ubuntu.com/blog/php2shell-vulnerability-fixes-available is de PHP2shell bug "Fixed in 8.1.2-1ubuntu2.28"

Die zie ik inderdaad geïnstalleerd staan, maar met een build date van 19 oktober, als ik php -v doe zie ik:

PHP 8.1.2-1ubuntu2.28 (cli) (built: Oct 19 2026 18:54:45) (NTS)
Copyright (c) The PHP Group
Zend Engine v4.1.2, Copyright (c) Zend Technologies
    with Zend OPcache v8.1.2-1ubuntu2.28, Copyright (c), by Zend Technologies

Hoe kan dat als die patch gister pas uit kwam? Of is ie toen gebouwd en zaten ze in de test fase?

[GarBaGe]

De patch kwam officieel gisteren publiek uit, maar de patch zelf is al eerder gemaakt en uitgebreid getest.
Fijn toch dat Ubuntu intern kon meeliften op dit interne proces en daarmee extreem snel de patch beschikbaar kan maken?

[syl765]

Idd fijn. Wel vervelend is dat ubuntu hun eigen nummering gebruiken. Klanten staan allemaal op scherp. Een php --version geeft aan PHP 8.1.2-1ubuntu...... Dus men roept dan dat we achterlopen en nog een heel oude versie gebruiken.

Dan dus weer uitleggen dat ubuntu het allemaal weer eens anders doet en dus niet alle patches meeneemt maar cherry picked van php8.1.x en dit in hun versie meeneemt.

En dat maakt het soms best irritant.
Apache was ook zo'n voorbeeld. Er was een oplossing voor een segfault in versie X.
Nu patched ubuntu dus zelf apache middels het cherry picken en net de oplossing voor de segfault had men dus niet meegenomen, maar wel latere patches.
Super irritant.

Maar verder fijn idd dat ze er snel bij waren.

[Jazzy]

Misschien een mooi moment om te upgraden naar een supported versie van PHP. Of heb je een dependency op 8.1?

[Sander7428]

syl765 schreef op donderdag 22 oktober 2026 @ 10:58:
Idd fijn. Wel vervelend is dat ubuntu hun eigen nummering gebruiken. Klanten staan allemaal op scherp. Een php --version geeft aan PHP 8.1.2-1ubuntu...... Dus men roept dan dat we achterlopen en nog een heel oude versie gebruiken.

Dan dus weer uitleggen dat ubuntu het allemaal weer eens anders doet en dus niet alle patches meeneemt maar cherry picked van php8.1.x en dit in hun versie meeneemt.

En dat maakt het soms best irritant.
Apache was ook zo'n voorbeeld. Er was een oplossing voor een segfault in versie X.
Nu patched ubuntu dus zelf apache middels het cherry picken en net de oplossing voor de segfault had men dus niet meegenomen, maar wel latere patches.
Super irritant.

Maar verder fijn idd dat ze er snel bij waren.

8.1 is sowieso niet meer gepatcht vanuit PHP. Dat is een backport. Op zich hebben ze wel een net lijstje gepubliceerd op https://ubuntu.com/blog/php2shell-vulnerability-fixes-available waar netjes de juiste versienummers staan.

Jazzy schreef op donderdag 22 oktober 2026 @ 11:51:
Misschien een mooi moment om te upgrade naar een supported versie van PHP. Of heb je een dependency op 8.1?

Ik hoop dat dit inderdaad weer wat mensen wakker schud die in de "zeur niet, het werkt toch" modus verkeerden om wel bij te werken.

[Sander7428]

GarBaGe schreef op donderdag 22 oktober 2026 @ 10:26:
De patch kwam officieel gisteren publiek uit, maar de patch zelf is al eerder gemaakt en uitgebreid getest.
Fijn toch dat Ubuntu intern kon meeliften op dit interne proces en daarmee extreem snel de patch beschikbaar kan maken?

Ah fijn, ik wist dat PHP die update al eerder aan Ubuntu en dergelijke beschikbaar had gesteld, maar niet dat die al volledig klaar was op de 19e. Had eigenlijk verwacht dat er na gister 16:00 nog wat tijd overheen zou gaan voordat de backports en zo er zouden zijn.

[syl765]

Ik gebruik even 8.1 als voorbeeld omdat de topic starter ook 8.1 gebruikt, maar het is met 8.2, 8.3 enz hetzelfde met die versie nummering.

[Jazzy]

syl765 schreef op donderdag 22 oktober 2026 @ 12:34:
Ik gebruik even 8.1 als voorbeeld omdat de topic starter ook 8.1 gebruikt, maar het is met 8.2, 8.3 enz hetzelfde met die versie nummering.

Mijn opmerking was aan de TS gericht, niet zo zeer een reactie op je opmerking over de versienummers.